在使用 Clash for Windows、Clash Verge 等代理工具时，很多人都会遇到一个典型问题：浏览器可以正常访问境外网站，但桌面软件、客户端、命令行却网络超时、登录失败。这种情况，绝大多数都是因为没有开启 TUN 模式。本文用通俗的语言讲解 TUN 是什么、工作原理、和普通代理的区别，以及在 Windows 系统下的使用要点。
一、TUN 到底是什么？
TUN 是 Tunnel（隧道） 的缩写，它是操作系统提供的一种虚拟网络设备，并非实体网卡、网线。
简单理解：系统在硬件网卡之外，虚拟出一张“看不见的虚拟网卡”。所有网络数据包都可以定向转发到这张虚拟网卡中，再由接管它的程序统一处理、转发流量。
和我们日常使用的物理网卡不同，TUN 设备只处理 IP 层数据包，不涉及底层以太网数据，体积轻量、转发效率高，也是目前主流代理软件实现全局流量接管的核心技术。
与之对应的还有 TAP 虚拟设备，二者功能相近，但 TUN 更适配代理、翻墙场景，因此 Clash 系列工具默认采用 TUN 方案。
二、传统系统代理的短板
绝大多数人最初只会打开 Clash 的系统代理，这也是问题的开端。
1. 系统代理的工作逻辑
Windows 系统代理，本质是在系统网络配置里写入固定地址 127.0.0.1:端口（Clash 默认 7890）。 只有主动读取系统代理配置的软件，流量才会走代理转发，典型代表：主流浏览器、部分影音软件。
2. 致命缺陷
大量桌面客户端、专业工具、命令行程序、老旧软件并不会读取系统代理配置。它们会无视代理设置，直接通过物理网卡直连外网。
这就出现了经典场景： 浏览器正常访问谷歌、外网服务，但是软件 OAuth 登录、接口请求、CMD 测试全部超时。这也是你此前 Google 账号认证失败的核心原因。
三、TUN 模式：全局流量的“万能接管方案”
开启 TUN 模式后，整个网络逻辑彻底改变，从“软件自愿走代理”变成“系统强制流量转发”。
1. 核心工作原理
- Clash 借助虚拟 TUN 网卡，修改系统全局路由表；
- 电脑上所有程序产生的网络数据包，都会优先被转发到 TUN 虚拟网卡；
- Clash 接收全部流量，按照规则（代理/直连/拦截）进行分流处理；
- 最终通过代理节点或物理网卡完成网络访问。
简单总结：不管软件支不支持代理，全部流量都逃不过 TUN 的接管。
2. TUN 模式的核心优势
- 全程序覆盖 浏览器、桌面客户端、游戏、命令行、后台服务等所有进程流量统一管控，彻底解决“部分软件联网失败”。
- 使用门槛低 一次开启，无需再为单个软件、命令行单独配置代理，开箱即用。
- 规则统一生效 域名分流、黑白名单、拦截规则对全局流量生效，网络管理更规整。
四、Windows 下 TUN 模式为什么必须搭配 Service Mode？
在 Windows 系统中，开启 TUN 会看到前置要求：必须先安装 Service Mode（服务模式），很多人对此感到疑惑，这里解释清楚。
- 权限要求 创建虚拟 TUN 网卡、修改系统全局路由表、接管全系统流量，都属于系统级高危操作。普通应用权限不足以完成，必须获得管理员权限。
- 服务模式的作用 Service Mode 会在 Windows 系统中安装一个后台系统服务，该服务以最高权限运行，常驻后台。它为 TUN 虚拟网卡提供底层支撑、权限支持和路由管理。
- 补充说明 该服务仅服务于 Clash 网络功能，无弹窗、无多余后台行为；卸载 Clash 时，服务会同步清除，不会残留占用系统资源。
使用顺序硬性要求：先安装并启用 Service Mode → 再打开 TUN 模式，顺序颠倒会直接启用失败。
五、TUN 模式 vs 系统代理 对比表
| 对比项 | 系统代理 | TUN 模式 |
|---|---|---|
| 流量覆盖范围 | 仅支持系统代理的软件 | 全系统所有程序、进程、命令行 |
| 权限需求 | 普通用户权限即可 | 需要管理员权限 + 系统服务 |
| 适用场景 | 仅浏览网页、轻度上网 | 软件登录、接口测试、全局代理、命令行 |
| 优缺点 | 简单轻便，兼容性差 | 功能强大，适配所有场景 |
六、Clash TUN 模式实用使用建议
1. 推荐开启场景
- 客户端软件需要登录境外账号、调用外网接口；
- 需要使用命令行、开发工具测试外网连通性；
- 频繁出现“浏览器正常，软件断网”的情况；
- 追求一劳永逸，不想反复配置各类软件代理。
2. 不建议长期常开场景
- 仅日常网页浏览、看视频：只用系统代理即可，减少系统后台开销；
- 网络环境不稳定、节点延迟高：TUN 全局转发会放大卡顿、丢包问题。
3. 常见问题排查
- 开启 TUN 后网络完全断网 检查防火墙、安全软件（火绒、Windows Defender、杀毒软件），部分安全工具会拦截虚拟网卡流量，临时关闭再测试。
- Service Mode 安装失败 以管理员身份运行 Clash，再重新安装服务；检查系统组策略、权限限制。
- TUN 开启但流量依旧直连 重启 Clash、重启电脑，让路由表配置完全生效。
七、总结
TUN 模式是代理工具从“局部代理”升级为“全局代理”的核心技术，它跳出了传统系统代理的兼容性局限，依靠虚拟网卡+系统路由，实现全流量接管。
对于普通用户，如果你只是上网冲浪，系统代理完全够用；但如果你需要运行各类客户端、开发工具、进行账号认证，TUN 模式就是刚需。
理解 TUN 的本质，就能彻底分清两种代理模式的区别，再也不会遇到“浏览器能上网，软件却认证失败”的尴尬问题。合理搭配 Service Mode 与 TUN 模式，也是 Windows 下用好 Clash 的必备技巧。